Remark 2.33. The Pohlig–Hellman alg

Remark 2.33. The Pohlig–Hellman algorithm more or less reduces the discrete logarithm problem for elements of arbitrary order to the discrete logarithm problem for elements of prime power order. A further refinement, which we discuss later in this section, essentially reduces the problem to elements of prime order. More precisely, in the notation of Theorem 2.32, the running time Sqe for elements of order qe can be reduced to O(eSq). This is the content of Proposition 2.34.
The Pohlig–Hellman algorithm thus tells us that the discrete logarithm problem in a group G is not secure if the order of the group is a product of powers of small primes. More generally, gx = h is easy to solve if the order of the element g is a product of powers of small primes. This applies, in particular, to the discrete logarithm problem in Fp if p−1 factors into powers of small primes. Since p−1 is always even, the best that we can do is take p = 2q + 1 with q prime and use an element g of order q. Then the running time of the collision algorithm described in Proposition 2.22 is O(√q ) = O(√p).
However, the index calculus method described in Section 3.8 has running time that is subexponential, so even if p = 2q + 1, the prime q must be chosen to be quite large.
We now explain the algorithm that reduces the discrete logarithm problem for elements of prime power order to the discrete logarithm problem for elements of prime order. The idea is simple: if g has order qe, then gqe−1 has order q. The trick is to repeat this process several times and then assemble the information into the final answer.
Proposition 2.34. Let G be a group. Suppose that q is a prime, and suppose that we know an algorithm that takes Sq steps to solve the discrete logarithm problem gx = h in G whenever g has order q. Now let g ∈ G be an element of order qe with e ≥ 1. Then we can solve the discrete logarithm problem
gx = h in O(eSq) steps. (2.19)

Kết quả (Việt) 1:

Nhận xét 2,33. Thuật toán Pohlig-Hellman hơn làm giảm vấn đề lôgarit rời rạc cho các yếu tố của trật tự tùy ý cho vấn đề lôgarit rời rạc cho các yếu tố của nguyên tố điện. Một sàng lọc hơn nữa, chúng tôi thảo luận về sau trong phần này, về cơ bản làm giảm vấn đề với các yếu tố của nguyên tố. Chính xác hơn, theo quan niệm của định lý 2,32, thời gian chạy Sqe cho các yếu tố của trật tự qe có thể được giảm xuống còn O(eSq). Đây là nội dung của đề xuất 2,34.Thuật toán Pohlig-Hellman do đó cho chúng ta biết rằng vấn đề lôgarit rời rạc trong một nhóm G là không an toàn nếu thứ tự của nhóm là một sản phẩm của các quyền hạn của số nguyên tố nhỏ. Nói chung, gx = h là dễ dàng để giải quyết nếu thứ tự của các yếu tố g là một sản phẩm của các quyền hạn của số nguyên tố nhỏ. Điều này áp dụng, trong đó, để các vấn đề lôgarit rời rạc trong Fp nếu p−1 yếu tố vào các quyền hạn của số nguyên tố nhỏ. Kể từ khi p−1 luôn luôn là thậm chí, tốt nhất mà chúng tôi có thể làm là hãy p = 2q + 1 với thủ tướng q và sử dụng một phần tử g của bậc q. Sau đó, thời gian chạy của thuật toán va chạm được mô tả trong Döï Luaät 2,22 là O (√q) = O(√p).Tuy nhiên, phương pháp tính toán chỉ số được mô tả trong phần 3.8 có thời gian chạy là subexponential, vì vậy ngay cả khi p = 2q + 1, q nguyên tố phải được chọn để khá lớn.Chúng tôi bây giờ giải thích các thuật toán mà làm giảm vấn đề lôgarit rời rạc cho các yếu tố của quyền lực chính cho vấn đề lôgarit rời rạc cho các yếu tố của nguyên tố. Ý tưởng là đơn giản: nếu g có trật tự qe, sau đó gqe−1 có bậc q. Bí quyết là để lặp lại quá trình này nhiều lần và sau đó lắp ráp các thông tin vào câu trả lời cuối cùng.Döï Luaät 2,34. Giả sử G là một nhóm. Giả sử rằng q là một số nguyên tố, và giả sử rằng chúng tôi biết một thuật toán mà mất Sq bước để giải quyết vấn đề lôgarit rời rạc gx = h trong G bất cứ khi nào g có bậc q. Bây giờ hãy để g ∈ G là một phần tử của thứ tự qe với e ≥ 1. Sau đó chúng tôi có thể giải quyết vấn đề lôgarit rời rạc GX = h trong O(eSq) bước. (2.19)

Kết quả (Việt) 2:

Nhận xét ​​2.33. Các thuật toán Pohlig-Hellman ít nhiều làm giảm các vấn đề logarit rời rạc cho các yếu tố của tự ý vào các bài toán logarit rời rạc cho các yếu tố của tự suất liên tục. Một tinh tế hơn, mà chúng tôi thảo luận sau trong phần này, về cơ bản làm giảm các vấn đề với các yếu tố của tự thủ. Chính xác hơn, trong các ký hiệu của Định lý 2.32, thời gian chạy SQE cho các yếu tố của tự nới lỏng tiền tệ có thể được giảm xuống O (Esq). Đây là nội dung của Dự 2,34.
Các thuật toán Pohlig-Hellman do đó cho chúng ta biết rằng các bài toán logarit rời rạc trong một nhóm G là không an toàn nếu thứ tự của nhóm này là một sản phẩm của quyền hạn các số nguyên tố nhỏ. Tổng quát hơn, gx = h là dễ dàng để giải quyết nếu thứ tự của phần tử g là một sản phẩm của quyền hạn các số nguyên tố nhỏ. Điều này áp dụng, đặc biệt là đối với vấn đề logarit rời rạc trong Fp nếu p-1 yếu tố vào quyền hạn của các số nguyên tố nhỏ. Kể từ khi p-1 luôn là thậm chí, là tốt nhất mà chúng tôi có thể làm là lấy p = 2Q + 1 với q thủ và sử dụng một phần tử g q. Sau đó, thời gian chạy của thuật toán va chạm mô tả trong Dự 2.22 là O (√q) = O (√p).
Tuy nhiên, phương pháp chỉ số tính toán được mô tả trong mục 3.8 đã chạy thời gian đó là subexponential, vì vậy ngay cả nếu p = 2Q + 1 , q thủ phải được chọn là khá lớn.
Bây giờ chúng ta giải thích các thuật toán làm giảm bài toán logarit rời rạc cho các yếu tố về trật tự quyền lực hàng đầu đối với bài toán logarit rời rạc cho các yếu tố của tự thủ. Ý tưởng rất đơn giản: nếu g có để nới lỏng tiền tệ, sau đó gqe-1 có trật tự q. Bí quyết là để lặp lại quá trình này nhiều lần và sau đó lắp ráp các thông tin vào các câu trả lời chính thức.
Dự 2,34. Cho G là một nhóm. Giả sử q là số nguyên tố, và giả sử rằng chúng ta biết một thuật toán mà có bước Sq để giải quyết các bài toán logarit rời rạc gx = h trong G bất cứ khi nào có g q. Bây giờ chúng ta hãy g ∈ G là một yếu tố để nới lỏng tiền tệ với e ≥ 1. Sau đó, chúng ta có thể giải quyết các vấn đề rời rạc logarit
gx = h trong O (Esq) bước. (2.19)